Sist uke trådte en omfattende sanksjonspakke fra EU og Storbritannia, rettet mot russiske cyberaktører, i kraft. Ettersom de europeiske nasjonene ikke kan arrestere de russiske forbryterne som står bak cyberoperasjoner mot europeiske land, må EU finne alternative måter å straffe forbryterne på. Sanksjoner er ett av virkemidlene som EU har benyttet hyppig mot russiske oligarker og selskaper etter fullskalainvasjonen av Ukraina.
FSB og Turla står bak
I en pressemelding som gikk ut fra EUs kontorer i Brussel sist uke, var det imidlertid ikke sanksjonene i seg selv som var det mest interessante. I samme dokument fremgår det at cyberoperasjonen mot det polske kraftsystemet i vinter ble utført av statstilknyttede cyberaktører fra den russiske sikkerhetstjenesten FSB. Mer spesifikt den nevnte sikkerhetstjenestens 16. senter og cybergrupperingen omtalt som Turla.
I cyberangrepet, som ble utført rett før nyttår, 29. desember i fjor, forsøkte angriperne å slå ut operasjonell teknologi på over 30 steder i det polske kraftsystemet, i en koordinert operasjon. Vindparker, solenergi, varme- og kraftsystemer ville gått ned om angriperne hadde lykkes.
At Turla og FSB angivelig står bak operasjonen, er spesielt interessant ettersom de to private cybersikkerhetsselskapene ESET og Dragos var tidlig ute med å «attribuere» operasjonen, det vil si at de pekte på to andre statstilknyttede aktører fra Russland. ESET mente at Sandworm, en annen cybergruppering tilknyttet den russiske militære etterretningstjenesten GRU, sto bak. Sandworm har lang historikk med destruktive angrep. Den polske CERT’en bestred imidlertid de private selskapenes attribusjon. Og først nå, et halvt år senere, ser det ut til at vi har fått svaret fra EU på hvem som faktisk sto bak.
Destruktive cyberoperasjoner
Cyberoperasjonen mot det polske kraftsystemet i vinter var oppsiktsvekkende fordi det er en av de få offentlig kjente cyberoperasjonene med sabotasje som formål – utført mot kritisk infrastruktur i et Nato-land, av statstilknyttede aktører fra Russland. Russland har i all hovedsak benyttet slike destruktive og disruptive cyberoperasjoner mot Ukraina etter at de invaderte landet i 2014, noe som tiltok i styrke etter fullskalainvasjonen i 2022.
Selv om både norske og europeiske virksomheter i lang tid har blitt utsatt for angrep med løsepengevirus, tjenestenekt og spionasje fra russiske cyberaktører, var operasjonen mot Polens kraftsystem noe annet. Operasjonen brøt med anerkjente internasjonale normer.
Cyberspionasje er internasjonalt anerkjent aktivitet som foregår mellom stater til enhver tid. Destruktive cyberangrep med løsepengevirus og utpressing er kriminalitet som i all hovedsak utføres av forbrytere, hvor de som står bak, sjelden er ansatt av en stat for å utføre angrepene. Det samme er tilfellet for hacktivistenes tjenestenektangrep.
Destruktive eller disruptive cyberoperasjoner utført av statstilknyttede cyberaktører har tidligere i all hovedsak vært et virkemiddel som stater benytter mot hverandre under krig og konflikt. Derfor er operasjonen mot det polske kraftsystemet med på å endre spillereglene.
I konflikt med Vesten
Russland pekes av både PST og Etterretningstjenesten ut som staten vi i Norge har det mest konfliktfylte forholdet til på nåværende tidspunkt. Dette henger naturligvis sammen med at Norge, EU og Nato har gitt betydelig støtte til Ukrainas forsvarskamp. Russlands fremste prioritet er seier på slagmarken i Ukraina – og myndighetene i Kreml anser seg derfor å være i konflikt med «Vesten» fordi vi støtter Ukraina økonomisk og militært.
Nettopp som følge av den alvorlige situasjonen som utspiller seg i Ukraina, er det verdt å legge merke til EUs pressemelding. Den viser at Russland ikke lenger holder tilbake sine statlige cyberkapabiliteter, men nå kan være villig til å rette den mot resten av Europa.
Russland skal etablere Starlink-lignende tjeneste